Daten­schutz­erklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Damin
Inhaber: Daniel Naradzynkowski
c/o IP-Management #7505
Ludwig-Erhard-Straße 18
20459 Hamburg
Deutschland

Kontakt:
E-Mail: team@damin.de

2. Erhebung und Speicherung personenbezogener Daten

Bei der Registrierung und Nutzung unserer Plattform erheben wir folgende Daten:

• Name und E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Optional: Telefonnummer, Adresse, Geschäftsdaten
• Optional: Marketing-Einwilligung
• Server-Log-Daten: IP-Adresse, Browser-Typ, Zeitstempel (für technische Sicherheit)
• Nutzungsdaten: Besuchte Seiten im Dashboard, Session-Dauer, Zeitpunkt der letzten Nutzung (zur Verbesserung unserer Dienste)
• Gerätedaten bei Nutzung der mobilen Apps (Geräte-ID, Push-Token)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Dienste, z.B. Nutzungsanalyse) und Art. 6 Abs. 1 lit. a DSGVO bei Einwilligung (z.B. Newsletter, Marketing-SMS).

3. Zweck der Datenverarbeitung

Ihre Daten werden ausschließlich zur Bereitstellung unserer Dienstleistung verwendet:

• Bereitstellung der SaaS-Plattform und automatisch generierter Salon-Websites
• Kundenservice und Support
• Abrechnung und Zahlungsabwicklung (einschließlich Tap to Pay auf dem iPhone und Kartenzahlung vor Ort)
• Versand von Service-E-Mails (Terminbestätigungen, Erinnerungen)
• Versand von SMS-Benachrichtigungen (Terminerinnerungen, optional Marketing-SMS)
• KI-gestützte Textgenerierung für Salon-Websites (optional)
• Automatische Antworten auf Fragen, die Besucher auf unserer Website stellen (siehe Abschnitt 6)
• KI-gestützter Telefonassistent für eingehende Anrufe (optional)
• Automatische Antworten auf WhatsApp-Nachrichten an Salons (optional, siehe Abschnitt 6)
• Automatische Antworten auf Fragen zu Behandlungen auf den Buchungsseiten der Salons (optional, siehe Abschnitt 6)
• Reichweitenmessung ohne Cookies auf unserer Website, den Salon-Websites, Buchungsseiten und Kundenseiten (siehe Abschnitt 11)
• Auswertung der Nutzung des Salon-Dashboards je Person und Salon (aktive Nutzungszeit, zuletzt geöffnete Seite, ungefährer Standort auf Stadtebene aus der IP-Adresse) zur Verbesserung der Plattform und zur Betreuung unserer Kunden; die gezählten Seitenaufrufe im Dashboard beschreibt Abschnitt 11
• Kassensystem (POS) mit gesetzeskonformer TSE-Anbindung
• Treueprogramm mit Punktesystem (optional)
• Gutschein- und Voucher-Verwaltung
• Google-Kalender-Synchronisation (optional, nur bei Verknüpfung durch Mitarbeiter)
• Anzeige von Google-Bewertungen und Standortdaten auf Salon-Websites
• Optional: Marketing-Newsletter (nur mit Einwilligung)

4. Weitergabe von Daten und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dritte weiter, wenn:

• Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO)
• Es zur Vertragserfüllung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO)
• Eine gesetzliche Verpflichtung besteht (Art. 6 Abs. 1 lit. c DSGVO)

Auftragsverarbeiter und Dienstleister:

Mit allen Auftragsverarbeitern haben wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Einen vollständigen Auftragsverarbeitungsvertrag (AVV) finden Sie unter damin.de/av-vertrag.

Drittlandtransfer: Die Datenübermittlung in Drittländer (insbesondere USA) erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss vom 10. Juli 2023) für DPF-zertifizierte Empfänger sowie ergänzend auf Basis der Standardvertragsklauseln (SCCs) der EU-Kommission gemäß Art. 46 DSGVO. Zusätzlich haben wir geeignete technische und organisatorische Maßnahmen (z.B. Verschlüsselung, Zugriffsbeschränkungen) implementiert.

Hinweise zu einzelnen Diensten

OpenAI (KI-Textgenerierung): Diese Funktion verarbeitet ausschließlich vom Nutzer aktiv eingegebene Inhalte zur Website-Textgenerierung. Eine Verarbeitung von Endkundendaten oder Kassendaten erfolgt nicht. Die eingegebenen Inhalte werden nicht zur Modellschulung verwendet (API-Nutzung).

Vapi (KI-Telefonassistent): Bei aktiviertem Telefonassistent werden eingehende Anrufe von einem KI-System entgegengenommen. Dabei werden Gesprächsinhalte verarbeitet und strukturierte Daten extrahiert (z.B. gewünschte Dienstleistung, Terminwunsch, Kontaktdaten). Es erfolgt keine Aufnahme oder dauerhafte Speicherung der Gespräche. Der Anrufer wird zu Beginn darauf hingewiesen, dass er mit einem KI-Assistenten spricht.

Vonage (SMS-Versand): Mobilfunknummern werden zur Zustellung von SMS-Terminerinnerungen und optionalen Marketing-SMS verarbeitet. Marketing-SMS werden nur mit ausdrücklicher Einwilligung versendet. Zustellungsberichte werden zur Qualitätssicherung verarbeitet.

WhatsApp (Meta): Verbindet ein Salon seine WhatsApp-Nummer, versenden wir seine Nachrichten an Kunden (z. B. Terminbestätigungen) über die WhatsApp Business Platform der Meta Platforms Ireland Ltd. Dabei werden Mobilfunknummer, Nachrichteninhalt und Zustellstatus verarbeitet. Verantwortlich ist der Salon; wir handeln als Auftragsverarbeiter. Schaltet der Salon automatische Antworten ein, beantwortet eine KI-Assistenz die Nachrichten seiner Kunden (siehe Abschnitt 6).

Instantly (Erstansprache von Salons): Für E-Mails, mit denen wir Salons auf Damin aufmerksam machen, nutzen wir Instantly. Verarbeitet werden öffentlich angegebene Geschäftskontaktdaten (Salonname, geschäftliche E-Mail-Adresse, Ansprechpartner) und Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vorstellung unseres Angebots). Sie können jederzeit widersprechen – eine Antwort auf die E-Mail genügt; wir sperren Ihre Adresse dann dauerhaft.

Sentry (Fehlerüberwachung): Bei technischen Fehlern und zur Messung von Ladezeiten werden Fehlerdaten (Fehlertyp, Fehlerstelle im Programm, Browser, Betriebssystem, App-Version) zur Qualitätsverbesserung erfasst. Im Salon-Dashboard, auch in den Apps, übermitteln wir dabei eine pseudonyme Kennung des Nutzerkontos und des Salons, damit wir erkennen, wen ein Fehler betrifft; Namen und E-Mail-Adressen übermitteln wir nicht. IP-Adressen werden anonymisiert.

Meta Pixel / Conversions API: Wird nur auf der Marketing-Website (damin.de) eingesetzt, nicht auf Salon-Websites. Personenbezogene Daten (E-Mail, Telefon, Name) werden vor der Übertragung an Meta gehasht (SHA-256). Keine Verarbeitung von Endkundendaten der Salon-Nutzer. In den Apps für iOS und Android wird Meta Pixel nicht geladen.

RevenueCat (In-App-Abonnement-Verwaltung): Für Abonnements, die über die iOS-App im Apple App Store oder über die Android-App bei Google Play abgeschlossen werden, nutzen wir RevenueCat, Inc. (169 Madison Ave, Suite 11608, New York, NY 10016, USA) als Auftragsverarbeiter. RevenueCat verarbeitet die Transaktionskennung des jeweiligen Stores (bei Apple die Original-Transaction-ID, bei Google Play das Kauf-Token), den Subscription-Status, die Tenant-ID des Salons sowie Lifecycle-Ereignisse (Kauf, Verlängerung, Kündigung, Erstattung). RevenueCat erhält keine Klar-Zahlungsdaten und keine Endkundendaten der Salons. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Datenübermittlung in die USA auf Basis der EU-Standardvertragsklauseln. Datenschutzerklärung: revenuecat.com/privacy.

Apple App Store (In-App-Käufe): Wenn ein Abonnement über die iOS-App abgeschlossen wird, ist Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Republic of Ireland) eigenständig Verantwortlicher für die Zahlungsabwicklung sowie die Verwaltung des Abonnements (Verlängerung, Kündigung, Rückerstattung). Wir erhalten von Apple ausschließlich anonymisierte Transaktions-Identifier zur Validierung des Subscription-Status. Es gelten die Datenschutzbestimmungen von Apple.

Google Play (In-App-Käufe): Wenn ein Abonnement über die Android-App abgeschlossen wird, ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) eigenständig Verantwortlicher für die Zahlungsabwicklung sowie die Verwaltung des Abonnements (Verlängerung, Kündigung, Rückerstattung). Zahlungsdaten wie Karten- oder Kontodaten verarbeitet ausschließlich Google; wir erhalten sie nicht. Wir erhalten über RevenueCat nur das Kauf-Token, das gewählte Abonnement und dessen Status, um den Zugang Ihres Salons freizuschalten. Es gelten die Datenschutzbestimmungen von Google.

Verantwortlichkeiten (B2B-SaaS)

Auftragsverarbeitung: Soweit Nutzer personenbezogene Daten ihrer eigenen Kunden (z.B. Salonkunden) über die Plattform verarbeiten, erfolgt die Verarbeitung durch uns als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Nutzer bleibt in diesem Verhältnis Verantwortlicher für die Daten seiner Kunden.

Eigene Verantwortlichkeit: Für die Verarbeitung der Nutzerdaten selbst (z.B. Registrierungsdaten, Zahlungsdaten, Nutzungsdaten des Nutzers) sind wir selbst Verantwortlicher im Sinne der DSGVO.

5. SMS-Benachrichtigungen

Wir bieten Nutzern die Möglichkeit, ihren Kunden SMS-Benachrichtigungen zu senden (z.B. Terminerinnerungen 24 Stunden vor dem Termin). Der Versand erfolgt über den Dienstleister Vonage (Ericsson).

Verarbeitete Daten: Mobilfunknummer (normalisiert im E.164-Format), Name des Empfängers, Termindetails, Zustellungsbestätigung.

Marketing-SMS: Marketing-SMS werden nur mit ausdrücklicher Einwilligung des Empfängers versendet. Die Einwilligung kann jederzeit widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Terminerinnerungen; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Marketing-SMS.

6. KI-gestützte Funktionen

KI-Assistentin im Dashboard (Damina)

Im Dashboard steht Salon-Inhabern und ihren Mitarbeitern die KI-Assistentin „Damina“ zur Verfügung. Sie beantwortet Fragen zum eigenen Salon und führt auf Anweisung Aufgaben aus – etwa Termine anlegen, verschieben oder absagen, Kundendaten pflegen, Behandlungen und Einstellungen ändern.

Eingesetzte Dienste: Anthropic PBC (USA) als Sprachmodell, ersatzweise OpenAI Inc. (USA). Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet (Nutzung über die Programmierschnittstelle).

Verarbeitete Daten: die Eingaben des Nutzers, Angaben zum Salon (Name, Behandlungen, Mitarbeiter, Öffnungszeiten) sowie – soweit die jeweilige Frage oder Aufgabe es erfordert – Daten von Endkunden des Salons (Name, Kontaktdaten, Termine, Notizen, Zahlungs- und Umsatzangaben). Anders als bei der Website-Textgenerierung können hier also personenbezogene Daten Dritter verarbeitet werden.

Speicherung: Die Unterhaltungen werden im Konto des Nutzers gespeichert, damit er sie später wieder aufrufen kann. Der Nutzer kann einzelne Unterhaltungen jederzeit im Dashboard löschen; spätestens mit dem Löschen des Salon-Kontos werden alle Unterhaltungen entfernt.

Einsicht durch uns: Mitarbeiter von Damin können gespeicherte Unterhaltungen einsehen, um Fehler der Assistentin zu finden und zu beheben und um sie zu verbessern. Stellen wir dabei fest, dass die Assistentin dem Salon etwas Falsches gesagt hat, können wir in der betreffenden Unterhaltung antworten; eine solche Nachricht ist im Chat ausdrücklich als Nachricht des Damin-Teams gekennzeichnet.

Transparenzhinweis: Die Assistentin ist im Chatfenster als KI-Assistentin gekennzeichnet (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlersuche und Verbesserung der Assistentin).

Automatische Antworten im WhatsApp-Chat (optional)

Hat ein Salon seine WhatsApp-Nummer mit Damin verbunden, kann er automatische Antworten einschalten. Dann beantwortet eine KI-Assistenz die WhatsApp-Nachrichten seiner Kunden: Sie nennt Öffnungszeiten, Behandlungen, Preise und freie Termine, nennt Kunden ihre eigenen kommenden Termine und nimmt Terminwünsche auf: Je nach Einstellung des Salons trägt sie einen Termin nach ausdrücklicher Zustimmung des Kunden direkt ein oder gibt ihn als Anfrage an den Salon weiter, wie bei seiner Online-Buchung. Termine absagen oder verschieben kann sie nicht; in diesen und in unklaren Fällen gibt sie das Gespräch an den Salon weiter.

Eingesetzte Dienste: Anthropic PBC (USA) als Sprachmodell; die Nachrichten laufen über die WhatsApp Business Platform der Meta Platforms Ireland Ltd. Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet (Nutzung über die Programmierschnittstelle).

Verarbeitete Daten: die letzten Nachrichten des Gesprächs (höchstens 30 aus den letzten sieben Tagen), Vorname und kommende Termine des schreibenden Kunden, für einen Termin die Angaben, die der Salon für Online-Buchungen verlangt (etwa den Nachnamen), sowie Angaben zum Salon (Adresse, Öffnungszeiten, Behandlungen, Preise, Vornamen der Mitarbeiter, freie Zeiten). Daten anderer Kunden erhält das Sprachmodell nicht. Nach Gesundheitsdaten fragt die Assistenz nie; schreibt ein Kunde von sich aus darüber, gibt sie das Gespräch an den Salon weiter.

Speicherung: Die Nachrichten stehen wie alle WhatsApp-Nachrichten im Verlauf des Salons. Den Stand eines Gesprächs (etwa „pausiert“ oder „an den Salon übergeben“) löschen wir 30 Tage nach der letzten Änderung. Zu jeder automatischen Antwort entsteht ein Protokoll (nachgeschlagene Angaben, Ergebnis, Dauer). Damit die Antworten zuverlässig bleiben, prüfen wir sie im Auftrag des Salons zusammen mit den Nachrichten, auf die sie antworten, und beheben Fehler; Nachrichten, die der Salon selbst schreibt, gehören nicht dazu. Nach 30 Tagen löschen wir das Protokoll. Eine Antwort, die der Salon uns als fehlerhaft meldet, löschen wir samt Protokoll 30 Tage nach der Meldung. Für eigene Zwecke nutzen wir die Chats nicht – keine Werbung, keine Kundenprofile, kein Training.

Transparenzhinweis: Die erste automatische Antwort an einen Kunden beginnt mit dem Hinweis, dass eine KI-Assistenz schreibt; nach 30 Tagen kommt er erneut (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Auskünfte und Terminanfragen vor und bei einem Vertrag mit dem Salon) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Salons an schnellen Antworten). Verantwortlich ist der Salon; Damin verarbeitet die Daten in seinem Auftrag (Art. 28 DSGVO).

Automatische Buchungshilfe auf der Buchungsseite (optional)

Schaltet ein Salon die Buchungshilfe ein, können Besucher seiner Buchungsseite unter „Frage zur Behandlung?“ Fragen zu seinen Behandlungen stellen. Eine KI-Assistenz beantwortet sie aus den Angaben des Salons (Behandlungen, Preise, Aktionen, Öffnungszeiten, Adresse und Hinweise der Buchungsseite) und schlägt bis zu drei passende Behandlungen vor. Termine bucht, verschiebt oder sagt sie nicht ab; gebucht wird wie gewohnt über die Buchungsseite. Wer lieber den Salon selbst fragt, kann ihm aus dem Chat eine Nachricht schicken; sie landet ohne automatische Antwort in den Nachrichten des Salons, der per E-Mail antwortet.

Eingesetzter Dienst: Anthropic PBC (USA) als Sprachmodell, auf Grundlage von EU-Standardvertragsklauseln. Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet (Nutzung über die Programmierschnittstelle); Anthropic kann sie für begrenzte Zeit zur Erkennung von Missbrauch aufbewahren.

Verarbeitete Daten: die Fragen des Besuchers, die vorangegangenen Nachrichten desselben Gesprächs und die schon ausgewählten Behandlungen, zusammen mit öffentlichen Angaben des Salons. Kundenkonto, frühere Termine und Kundennotizen erhält das Sprachmodell nicht. Ein Hinweis über dem Chat bittet, keine persönlichen Angaben einzugeben, etwa zu Gesundheit oder Kontakt; die Assistenz fragt nie nach Kontakt-, Gesundheits- oder Zahlungsdaten. Schreibt ein Besucher dem Salon eine Nachricht, kommen sein Name und seine E-Mail-Adresse (angemeldet die Angaben seines Kundenkontos) und die Fragen und Antworten des Gesprächs hinzu; sie werden bei seiner Kundenkarte im Salon gespeichert, ohne Kundenkarte wird eine angelegt.

Speicherung: Das Gespräch speichern wir 30 Tage ab der ersten Frage, danach wird es automatisch gelöscht; der Besucher kann es über „Gespräch löschen“ jederzeit früher löschen. Zur Begrenzung missbräuchlicher Anfragen zählen wir die Fragen je Besucher über eine täglich wechselnde, aus der IP-Adresse abgeleitete Kennung ohne Gesprächsinhalte; die Zähler werden nach zwei Tagen gelöscht. Eine Nachricht an den Salon bleibt wie andere Kundennachrichten im Verlauf des Salons; ihr Inhalt wird gelöscht, wenn der Salon die Kundendaten löscht, spätestens nach 24 Monaten.

Einsicht: Mitarbeiter des Salons, die Kundennachrichten bearbeiten dürfen, dürfen die Gespräche lesen. Mitarbeiter von Damin sehen sie ein, um Fehler der Buchungshilfe zu finden und sie zu verbessern; dafür ist Damin selbst verantwortlich, gestützt auf sein berechtigtes Interesse an einer fehlerfreien Hilfe (Art. 6 Abs. 1 lit. f DSGVO). Für Werbung oder Kundenprofile nutzen wir die Gespräche nicht.

Transparenzhinweis: Das Chatfenster ist als automatische Hilfe mit künstlicher Intelligenz gekennzeichnet, und über dem Gespräch steht, dass die Antworten automatisch kommen und Fehler enthalten können (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Auskünfte vor einer möglichen Buchung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Salons an schnellen Antworten). Verantwortlich ist der Salon; Damin verarbeitet die Daten in seinem Auftrag (Art. 28 DSGVO). Die Einzelheiten nennt die Datenschutzerklärung des Salons.

Fragen auf unserer Website

Unter den häufigen Fragen auf damin.de können Besucher eine eigene Frage zu Damin stellen. Die Antwort erstellt ein KI-System automatisch aus unseren Produktangaben und Hilfe-Artikeln; ein Hinweis unter dem Eingabefeld sagt, dass eine KI antwortet.

Eingesetzter Dienst: OpenAI Inc. (USA). Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet.

Verarbeitete und gespeicherte Daten: die Frage, die Antwort, die Seite, auf der gefragt wurde, und der Zeitpunkt. Nachfragen desselben Seitenaufrufs werden über eine zufällige Kennung zusammengehalten. Wir speichern dazu weder Namen noch IP-Adresse oder Cookies. Zum Schutz vor Missbrauch zählen wir die Fragen je Besucher eine Stunde lang über einen unumkehrbar verfremdeten Wert, aus dem sich die IP-Adresse nicht zurückrechnen lässt. Bitte geben Sie in Ihre Frage keine personenbezogenen Daten ein.

Zweck und Speicherdauer: Mitarbeiter von Damin sehen sich die Fragen und Antworten an, um falsche Antworten zu finden und unsere Angaben und Hilfe-Artikel zu verbessern. Nach 90 Tagen werden sie automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und an der Verbesserung unserer Angaben).

Website-Textgenerierung (OpenAI)

Wir nutzen die API von OpenAI Inc. zur Generierung von Website-Texten (z.B. „Über uns“-Texte, Mitarbeiter-Beschreibungen, Buchungshinweise). Es werden ausschließlich vom Nutzer aktiv eingegebene Geschäftsdaten verarbeitet – keine Endkundendaten.

KI-Telefonassistent (Vapi, optional)

Bei aktiviertem KI-Telefonassistent werden eingehende Anrufe von einem KI-System beantwortet. Dabei kommen folgende Dienste zum Einsatz:

• Vapi Inc. – Orchestrierung des Telefongesprächs
• Deepgram Inc. – Sprache-zu-Text-Erkennung (Transkription)
• OpenAI Inc. – Verarbeitung und Beantwortung der Anfrage
• ElevenLabs Inc. – Text-zu-Sprache (deutschsprachige Antwort)

Verarbeitete Daten: Gesprächsinhalt (in Echtzeit, keine dauerhafte Aufnahme), extrahierte Informationen (gewünschte Dienstleistung, Terminwunsch, Kontaktdaten des Anrufers), Zusammenfassung des Gesprächs.

Transparenzhinweis: Anrufer werden zu Beginn des Gesprächs darauf hingewiesen, dass sie mit einem KI-Assistenten sprechen (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Terminvereinbarung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).

7. Treueprogramm und Gutscheine

Nutzer können für ihre Kunden ein Treueprogramm mit Punktesystem aktivieren. Dabei werden folgende Daten verarbeitet:

• Geburtstag (für Geburtstags-Bonuspunkte, optional)
• Punktestand und Punktehistorie
• Treuestufe (z.B. Silber, Gold, Platin)
• Umsatzhistorie (Gesamtausgaben in Cent)

Gutscheine: Bei Nutzung des Gutscheinsystems werden Gutschein-Codes, Einlösungen und verbleibende Guthaben gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Mobile Apps (iOS und Android)

Wir bieten iOS-Apps für das Kassensystem (DaminPOS) und die Salonverwaltung (DaminSalon) sowie eine Android-App für die Salonverwaltung an. Bei Nutzung der Apps werden zusätzlich verarbeitet:

• Push-Benachrichtigungen (iOS): Geräte-Token (APNS) zur Zustellung von Benachrichtigungen (z.B. neue Terminbuchungen, Tap-to-Pay-Anfragen) über den Apple Push Notification Service
• Push-Benachrichtigungen (Android): Für Mitteilungen an die Android-App (z.B. neue Terminbuchungen, Absagen, Nachrichten von Kunden) nutzen wir Firebase Cloud Messaging der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden das Geräte-Token der App sowie Titel und Text der jeweiligen Mitteilung an Google übermittelt, ausschließlich um die Mitteilung auf Ihr Gerät zuzustellen. Eine Übermittlung in die USA ist nicht ausgeschlossen; sie erfolgt auf Grundlage des EU-U.S. Data Privacy Framework und ergänzend der EU-Standardvertragsklauseln. Mitteilungen können Sie jederzeit in der App oder in den Einstellungen Ihres Geräts abschalten.
• Abonnements in der App: Käufe in der iOS-App wickelt Apple ab, Käufe in der Android-App Google Play (siehe Abschnitt 4, „Hinweise zu einzelnen Diensten“).
• Tap to Pay auf dem iPhone: Bei Nutzung von Tap to Pay auf dem iPhone erfolgt die Zahlungsabwicklung über Stripe Terminal. Kartendaten werden ausschließlich von Stripe verarbeitet und nicht auf dem Gerät gespeichert.
• Geräte-Authentifizierung: Ein Geräte-Token wird zur sicheren Zuordnung des POS-Geräts verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Nutzungsmessung: In den Apps laden wir weder Google Analytics noch Google Ads noch das Meta Pixel, und wir greifen auf keine Werbe-ID Ihres Geräts zu. Anmeldung, Abschluss der Einrichtung und Abonnement-Ereignisse aus der App übermitteln wir pseudonym von unserem Server an Google Analytics, wie im Abschnitt „Google Analytics: Messung über unseren Server“ beschrieben. Wie im Salon-Dashboard im Browser messen wir die Nutzung der Apps mit PostHog (siehe Abschnitt „PostHog“).

9. Speicherdauer und Löschung

Allgemeine Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der Vertragszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Speicherdauer nach Vertragsende (Reaktivierungsphase)

Nach Beendigung des Vertragsverhältnisses (Kündigung oder Ablauf des Abonnements) werden die Daten Ihres Nutzerkontos zunächst für einen Zeitraum von 365 Tagen inaktiv gespeichert („Deaktivierungsphase“ oder „Reaktivierungsphase“).

Zweck: Innerhalb dieses Zeitraums können Sie Ihr Konto auf Wunsch reaktivieren, ohne dass Daten (z.B. Kundendaten, Termine, Einstellungen) verloren gehen. Dies dient Ihrer Flexibilität und der vereinfachten Wiederherstellung des Dienstes.

Status: Während der Deaktivierungsphase sind Ihre Daten inaktiv gespeichert und können nicht mehr aktiv genutzt werden. Der Zugriff auf die Plattform ist gesperrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der vereinfachten Wiederherstellung und Datensicherung sowie zur Erfüllung von Nachweispflichten).

Kassendaten (POS)

Kassendaten und TSE-Signaturen unterliegen den gesetzlichen Aufbewahrungsfristen von 10 Jahren gemäß AO und HGB. Diese Daten werden auch nach Vertragsende für die gesetzlich vorgeschriebene Dauer aufbewahrt.

Endgültige Löschung

Nach Ablauf der 365-Tage-Frist werden sämtliche personenbezogenen Daten unwiderruflich und endgültig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. steuerrechtliche Aufbewahrungsfristen für Rechnungen).

Die Löschung erfolgt automatisiert und umfasst:

• Kundendaten (Namen, Kontaktdaten, Terminhistorie)
• Nutzerdaten (E-Mail, Profilinformationen)
• Geschäftsdaten (Dienstleistungen, Mitarbeiter, Einstellungen)
• Bilder und Medien (Profilbilder, Salon-Fotos)
• Treueprogramm-Daten (Punkte, Stufen)
• Backups werden nach 30 Tagen automatisch überschrieben

Vorzeitige Löschung auf Wunsch

Sie haben jederzeit das Recht, die vorzeitige Löschung Ihrer Daten zu verlangen, auch während der Reaktivierungsphase (Art. 17 DSGVO „Recht auf Löschung“).

Zur Ausübung dieses Rechts kontaktieren Sie uns bitte per E-Mail an team@damin.de. Wir werden Ihre Daten innerhalb von 14 Tagen nach Erhalt Ihrer Anfrage vollständig löschen.

Datenexport

Sie können jederzeit über das Dashboard einen Export Ihrer Daten anfordern (Art. 20 DSGVO). Verfügbare Formate: CSV, JSON. Der Export umfasst Kundendaten, Termine, Kassendaten und Geschäftsdaten.

10. Ihre Rechte

Sie haben folgende Rechte gemäß DSGVO:

• Auskunft (Art. 15 DSGVO): Recht auf Auskunft über verarbeitete Daten
• Berichtigung (Art. 16 DSGVO): Recht auf Korrektur falscher Daten
• Löschung (Art. 17 DSGVO): Recht auf Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO): Recht auf Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Recht auf Datenexport in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): Recht auf Widerspruch gegen die Verarbeitung
• Widerruf (Art. 7 DSGVO): Recht auf Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: team@damin.de

11. Cookies und Tracking

Technisch notwendige Cookies

Wir verwenden technisch notwendige Cookies zur Bereitstellung unserer Dienste. Diese sind essentiell für die Funktion der Plattform (z.B. Session-Management, Authentifizierung, Speicherung Ihrer Auswahl im Cookie-Banner einer Salon-Website und ob Sie unseren Hinweis zu Cookies bestätigt haben). Für diese Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Analyse und Werbung auf unseren eigenen Seiten

Auf unserer Website (damin.de), bei Anmeldung und Einrichtung, im Salon-Dashboard (app.damin.de) und in der Hilfe (docs.damin.de) setzen wir Google Analytics, Google Ads, das Meta Pixel samt Conversions API und PostHog ab dem ersten Aufruf ein. Eine Auswahl im Cookie-Banner gibt es auf diesen Seiten nicht; beim ersten Besuch weisen wir mit einem Hinweis darauf hin. Kommen Sie über eine Anzeige oder einen Kampagnen-Link, speichern wir die Klick-Kennung der Anzeige (gclid) bis zu 90 Tage und die Kampagnen-Angaben (z. B. utm_source) bis zu 30 Tage in eigenen Cookies, damit eine spätere Registrierung der Anzeige zugeordnet werden kann. Öffnen Sie die Einladung eines Salons (damin.de/einladung/…), speichern wir den Einladungscode ebenso bis zu 30 Tage in einem Cookie (damin_einladung), damit Ihnen das Startguthaben auch bei einer späteren Registrierung zusteht; nach der Einrichtung Ihres Salons löschen wir ihn. Einzelheiten zu jedem Dienst stehen in den folgenden Abschnitten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung, an der Verbesserung unseres Angebots und an der Messung und Ausspielung unserer Werbung). Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an team@damin.de. Außerdem können Sie Cookies in Ihrem Browser blockieren oder löschen und die bei den einzelnen Diensten genannten Abschaltmöglichkeiten nutzen.

Salon-Websites: Auf den mit Damin betriebenen Salon-Websites, Buchungsseiten und im Kundenportal gilt das nicht: Dort fragt ein Cookie-Banner der Salon-Seite, und Analyse findet nur mit Ihrer Einwilligung statt.

Eigene Besuchszählung ohne Cookies

Wir zählen Besuche auf unserer Website (einschließlich der Anmeldung) sowie auf den Salon-Websites und Buchungsseiten, die mit Damin betrieben werden, selbst – ohne Cookies und ohne etwas auf Ihrem Gerät zu speichern (weder Cookies noch LocalStorage oder SessionStorage). Auf dieselbe Weise zählen wir Seitenaufrufe im Salon-Dashboard (auch in unseren Apps für iOS und Android), um zu sehen, welche Bereiche genutzt werden. Auf Salon-Websites, Buchungsseiten, im Kundenportal und auf Seiten aus Links in Nachrichten eines Salons (z. B. Fragebogen, Termin verwalten) zählen wir im Auftrag des jeweiligen Salons; Einzelheiten stehen in dessen Datenschutzerklärung.

Erfasste Daten: aufgerufene Seite (Kennungen und Zugangscodes in der Adresse werden vor dem Speichern entfernt), Zeitpunkt und wie lange die Seite geöffnet war, verweisende Seite, Kampagnen-Kennung in der Adresse (z. B. utm_source), Gerätetyp (Handy, Tablet, Rechner) und Betriebssystem (z. B. iOS, Android, Windows), bei Online-Buchungen die erreichten Buchungsschritte und die Art eines angezeigten Fehlers (z. B. „Termin inzwischen vergeben“; ohne die Eingaben), ob auf der Seite gescrollt oder getippt wurde (damit Programme nicht mitgezählt werden) sowie Land, Stadt und ein auf etwa 10 km gerundeter Standort. Diese Angaben werden aus der IP-Adresse abgeleitet; die IP-Adresse selbst wird nicht gespeichert.

Herkunft eines Besuchs: Woher ein Besuch kommt (z. B. Suchmaschine, Google-Unternehmensprofil oder Google Maps, soziales Netzwerk, andere Website), bestimmen wir aus der verweisenden Seite und aus den Kampagnen-Angaben in der Adresse (z. B. utm_source=google&utm_medium=profil in einem Link aus dem Google-Profil eines Salons).

Schutz vor Missbrauch: Um massenhafte Anfragen abzuwehren, halten wir Ihre IP-Adresse nur kurzzeitig im Arbeitsspeicher des Servers – in der Regel etwa eine Minute nach Ihrer letzten Anfrage – und verwerfen sie danach; sie wird nie gespeichert.

Funktionsweise: Um Besucher eines Tages zu unterscheiden, bilden wir aus IP-Adresse und Browser-Kennung zusammen mit einem täglich wechselnden Zufallswert einen gekürzten Prüfwert. Der Zufallswert eines Tages wird am übernächsten Tag automatisch gelöscht; danach ist keine Zuordnung des Prüfwerts zu einer IP-Adresse oder einem Gerät mehr möglich. Besuche verschiedener Tage werden nicht miteinander verknüpft, ein Profil über mehrere Tage entsteht nicht. Einzige Ausnahme: Bei einer Anmeldung als Salon (und im Auftrag eines Salons bei einer Online-Buchung auf dessen Seiten) wird auch der Besuch vom Vortag berücksichtigt, um festzustellen, woher der Besuch kam. Weiter zurück reicht dieser Abgleich nicht.

Herkunft einer Anmeldung: Registrieren Sie sich als Salon, speichern wir zu Ihrem Konto, woher der Besuch kam: Einstiegsseite, Art der Herkunft (z. B. Suchmaschine, soziales Netzwerk), verweisende Seite, Kampagnen-Kennung, Zahl der zuvor angesehenen Seiten und Zeitpunkt des ersten Besuchs – keine IP-Adresse und keinen Prüfwert. Diese Angabe bleibt gespeichert, solange Ihr Konto besteht. Bei Online-Buchungen auf Salon-Seiten gilt dasselbe für den Termin, im Auftrag des Salons. Wird bei einer solchen Buchung online bezahlt, übergeben wir die Herkunft (Einstiegsseite, Art der Herkunft, verweisende Website, Kampagnen-Kennung – keine IP-Adresse, kein Prüfwert) als Zusatzangabe zur Zahlung an Stripe; sie ist im Stripe-Konto des Salons sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung und der Verbesserung unseres Angebots). Speicherdauer: Die gezählten Seitenaufrufe 14 Monate, danach werden sie automatisch gelöscht; die Herkunft einer Anmeldung oder Buchung wie oben beschrieben.

Google Analytics 4

Wir nutzen Google Analytics 4, einen Webanalysedienst der Google Ireland Limited („Google“), Gordon House, Barrow Street, Dublin 4, Irland.

Zweck: Analyse des Nutzerverhaltens zur Verbesserung unserer Website und Dienste.

Erfasste Daten:

• Besuchte Seiten und Verweildauer
• Gerätetyp, Browser und Betriebssystem
• Ungefährer Standort (auf Länder-/Stadtebene)
• Referrer (woher Sie kommen)

Wann wir Google Analytics laden: Auf damin.de, app.damin.de und docs.damin.de beim Aufruf der Seite, ohne vorherige Auswahl. Google setzt dabei Cookies (z. B. _ga) und erhält die oben genannten Daten. In unseren Apps laden wir Google Analytics nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse und Verbesserung unserer Website und Dienste); auf Salon-Websites Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Salon-Websites: Auf den mit Damin betriebenen Salon-Websites, Buchungsseiten und Kundenportalen messen wir mit Google Analytics nur die Reichweite, um die Plattform zu verbessern — nur mit Ihrer Einwilligung im Cookie-Banner der Salon-Seite (ohne Einwilligung gar nicht). Google Ads laden wir dort nicht, Werbesignale bleiben dort immer abgelehnt, und wir bilden daraus keine Zielgruppen für Anzeigen. Die Salons weisen in ihrer Datenschutzerklärung darauf hin.

IP-Anonymisierung: Die IP-Adresse wird von Google vor der Speicherung anonymisiert.

Datenübermittlung in die USA: Google kann Daten in die USA übertragen. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO.

Widerspruch und Abschalten: Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) oder Google Analytics selbst abschalten, indem Sie:

• uns per E-Mail an team@damin.de schreiben
• Cookies in Ihrem Browser blockieren oder löschen
• auf Salon-Websites Ihre Einwilligung in den Cookie-Einstellungen der Salon-Seite widerrufen
• das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout

Google Analytics: Messung über unseren Server

Einige Ereignisse entstehen nicht in Ihrem Browser, sondern auf unseren Servern: Abschluss, Verlängerung, fehlgeschlagene Zahlung und Ende eines Abonnements, die ersten Schritte eines Salons in Damin (z.B. erster Termin, erste Online-Buchung) sowie Anmeldung und Abschluss der Einrichtung in unserer iOS-App. Diese Ereignisse übermitteln wir direkt von unserem Server an Google Analytics (Measurement Protocol).

Umfang: Übermittelt werden der Name des Ereignisses, Tarif, Betrag und Plattform (Website oder iOS-App) zusammen mit einer pseudonymen Kennung, die wir per Hashfunktion aus der internen Kennung Ihres Salons bzw. Kontos berechnen. Wir übermitteln dabei keine E-Mail-Adresse, keinen Namen, keine IP-Adresse und keine Gerätekennung; auf Ihrem Gerät werden keine Cookies gesetzt oder ausgelesen. Die Daten sind gegenüber Google ausdrücklich nicht für personalisierte Werbung freigegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran zu messen, wie unser Angebot genutzt und abgeschlossen wird). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z.B. per E-Mail an team@damin.de.

Google Ads (Conversion-Messung und Remarketing)

Auf damin.de, app.damin.de und docs.damin.de nutzen wir Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir, ob ein Besuch über eine unserer Anzeigen zu einer Registrierung oder einem Abonnement führt (Conversion-Messung), und können Besuchern unserer Website später erneut Anzeigen zeigen (Remarketing).

Wann wir Google Ads laden: Beim Aufruf dieser Seiten, ohne vorherige Auswahl; Google setzt dabei Cookies. Bei einer Registrierung oder einem Abonnement kann Ihre E-Mail-Adresse in gehashter Form an Google übermittelt werden, damit Google die Conversion zuordnen kann („erweiterte Conversions“). In unseren Apps und auf Salon-Websites laden wir Google Ads nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung und Ausspielung unserer Werbung). Der Verarbeitung zu Werbezwecken können Sie jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), z. B. per E-Mail an team@damin.de; personalisierte Werbung von Google können Sie außerdem in den Werbeeinstellungen Ihres Google-Kontos abschalten. Zur Datenübermittlung in die USA gilt das zu Google Analytics Gesagte.

Vercel Analytics

Wir nutzen Vercel Analytics, einen datenschutzfreundlichen Webanalysedienst der Vercel Inc., USA.

Datenschutzfreundliche Technologie: Vercel Analytics wurde speziell so entwickelt, dass es keine Cookies setzt und keine Daten im Browser speichert (weder LocalStorage noch SessionStorage). Es findet kein Cross-Site-Tracking statt. Daher ist für diesen Dienst keine Cookie-Einwilligung erforderlich (§ 25 TDDDG).

Funktionsweise: Die IP-Adresse des Besuchers wird zusammen mit einem täglich rotierenden Salt gehasht. Dadurch können Besucher innerhalb eines Tages für die Unique-Visitor-Statistik wiedererkannt werden, am nächsten Tag jedoch nicht mehr. Eine dauerhafte Profilbildung ist technisch ausgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung zur Optimierung unseres Angebots).

Meta Pixel und Conversions API (Facebook/Instagram)

Auf unserer Website (damin.de), bei Anmeldung und Einrichtung sowie im Salon-Dashboard (app.damin.de) nutzen wir das Meta Pixel sowie die Meta Conversions API, Dienste der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland.

Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram, Erstellung von Custom Audiences für zielgerichtete Werbung und Conversion-Tracking.

Erfasste Daten:

• Besuchte Seiten und durchgeführte Aktionen (Events)
• Geräte- und Browser-Informationen
• IP-Adresse (anonymisiert)
• UTM-Parameter (Kampagnen-Tracking)
• Conversion-Events (z.B. Registrierung, Abonnement)
• Server-seitig (Conversions API): gehashte E-Mail, Telefonnummer, Name, Stadt, PLZ

Wann wir Meta einsetzen: Das Meta Pixel lädt beim Aufruf dieser Seiten, ohne vorherige Auswahl. Ereignisse wie Registrierung und Abonnement übermitteln wir zusätzlich von unserem Server über die Conversions API. In unseren Apps und auf Salon-Websites setzen wir Meta nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung und Ausspielung unserer Werbung).

Datenübermittlung: Daten können an Meta in die USA übertragen werden. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert und es gelten die Standardvertragsklauseln der EU-Kommission.

Widerspruch: Der Verarbeitung zu Werbezwecken können Sie jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), indem Sie:

• uns per E-Mail an team@damin.de schreiben
• Cookies in Ihrem Browser blockieren oder löschen
• die Werbeeinstellungen in Ihrem Facebook-/Instagram-Konto ändern
• die Abschaltmöglichkeit der Digital Advertising Alliance nutzen: optout.aboutads.info

PostHog (Analyse & A/B-Tests)

Auf unserer Website (damin.de), im Salon-Dashboard (app.damin.de) und in unseren Apps, in der Hilfe (docs.damin.de) sowie auf den mit Damin betriebenen Salon-Websites und Buchungsseiten nutzen wir PostHog, einen Analyse- und Experimentierdienst der PostHog Inc., betrieben über die EU-Region (Frankfurt am Main, Deutschland). Mit PostHog messen wir, wie Salon-Inhaber:innen unser Dashboard nutzen, welche Funktionen am häufigsten verwendet werden, an welchen Schritten eine Online-Buchung abgebrochen wird und an welchen Stellen Verbesserungsbedarf besteht. Auf der Marketing-Website führen wir zusätzlich A/B-Tests von Seitenvarianten durch.

Rechtsgrundlage: Auf damin.de, app.damin.de, docs.damin.de und in unseren Apps Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots); PostHog lädt dort beim Aufruf, ohne vorherige Auswahl. Auf Salon-Websites und Buchungsseiten Art. 6 Abs. 1 lit. a DSGVO (Einwilligung im Cookie-Banner der Salon-Seite).

Verarbeitete Daten:

• Pseudonymisierte Geräte- bzw. Browser-ID
• Besuchte Seiten und ausgelöste Klick-Events (z. B. „Kostenlos starten”)
• Funktionsnutzung im Dashboard (z. B. Termin erstellt, Plan gewechselt) – nur Salon-Inhaber:innen, keine Endkunden-Daten
• Plan-Zugehörigkeit, Salon-Alter und Rolle (Inhaber/Mitarbeiter) für aggregierte Auswertungen
• Zugewiesene A/B-Test-Variante
• IP-Adresse (vor der Speicherung gekürzt)
• Browser- und Geräte-Informationen

Wichtig: Namen, E-Mail-Adressen, Telefonnummern und Buchungsinhalte von Salon-Kunden senden wir nicht als eigene Angaben an PostHog; ein automatischer Filter entfernt entsprechende Felder, bevor Daten gesendet werden. Im Salon-Dashboard können solche Angaben aber in der Session-Aufzeichnung und im Text eines angeklickten Elements enthalten sein, wenn sie dort angezeigt werden (siehe „Session-Aufzeichnung“). Besucher von Salon-Websites und Buchungsseiten erfassen wir nur, wenn sie im Cookie-Banner der Salon-Seite der Analyse zugestimmt haben – dann mit einer pseudonymen Geräte-ID und den erreichten Buchungsschritten (z. B. „Uhrzeit gewählt“).

Session-Aufzeichnung: Auf dem Salon-Dashboard zeichnen wir auf, wie es bedient wird – Klicks, Navigation und die dabei angezeigten Seiteninhalte –, um Bedienprobleme zu erkennen und das Dashboard zu verbessern. Angezeigte Texte sind in der Aufzeichnung lesbar, auch Namen von Salon-Kunden in Listen und Terminen. Eingaben in Formularfelder (z. B. Telefonnummern, E-Mail-Adressen, Notizen) und Passwörter werden vor der Aufzeichnung automatisch maskiert. Diese Aufzeichnungen werden ausschließlich für Produkt-Verbesserungen genutzt und nach maximal 30 Tagen gelöscht.

Server-Standort: EU (Frankfurt am Main) – keine Datenübermittlung in die USA.

Speicherdauer: Cookies bis zu 12 Monate. Aggregierte Auswertungsdaten serverseitig bis zu 7 Jahre.

Widerspruch und Widerruf: Der Verarbeitung auf unseren eigenen Seiten und in den Apps können Sie jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an team@damin.de. Auf Salon-Websites und Buchungsseiten widerrufen Sie Ihre Einwilligung, indem Sie im Cookie-Banner der Salon-Seite die Kategorie „Analyse” deaktivieren.

Cloudflare Turnstile (Bot-Schutz)

Auf öffentlichen Formularen setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Turnstile prüft, ob eine Eingabe von einem Menschen oder einem automatisierten Bot stammt.

Verarbeitete Daten: IP-Adresse, Browser-Informationen, Interaktionsdaten. Es werden keine Tracking-Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Formulare und dem Schutz vor Missbrauch).

12. Karten, Adressen, Google Places und Kalender

Auf Salon-Websites, in der Online-Buchung und im Dashboard können Karten (OpenStreetMap, Google Maps), Google-Bewertungen und Google-Standortdaten angezeigt werden.

Google Places: Zur Anzeige von Bewertungen und Standortinformationen rufen wir Daten von der Google Places API ab. Es werden keine personenbezogenen Daten der Website-Besucher an Google übertragen.

Google Kalender (optional): Mitarbeiter können freiwillig ihren persönlichen Google-Kalender mit der Plattform verknüpfen. Dabei werden Kalendereinträge bidirektional synchronisiert. Die Verknüpfung erfordert eine explizite Autorisierung über OAuth 2.0 und kann jederzeit in den Kontoeinstellungen widerrufen werden.

OpenStreetMap-Dienste: Für Karten, Adressen und Fahrstrecken nutzen wir freie Dienste auf Grundlage von OpenStreetMap. Sie arbeiten nicht in unserem Auftrag, sondern eigenständig nach ihren eigenen Bedingungen:

• Kartenbilder (Buchungsbestätigung, Dashboard) lädt der Browser von der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich); dabei wird die IP-Adresse übertragen.
• Adressvorschläge beim Eintippen einer Adresse (Kundenkonto, Buchung beim mobilen Salon, Termine im Dashboard) kommen vom Dienst Photon der komoot GmbH (Kienberger Allee 4, 12529 Schönefeld); der Browser überträgt dabei das Getippte und die IP-Adresse. Die Salon-Adresse verorten wir über denselben Dienst von unserem Server aus.
• Für die Anfahrt mobiler Salons sendet unser Server Straße, Hausnummer und Postleitzahl der Besuchsadresse an den Dienst Nominatim der OpenStreetMap Foundation und ungefähre Orte an den Routendienst OSRM – ohne Namen und ohne IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung von Standortinformationen und an einer einfachen Eingabe von Adressen), Art. 6 Abs. 1 lit. b DSGVO für die Berechnung der Anfahrt bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Google-Kalender-Verknüpfung. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

13. Sicherheit der Verarbeitung

Technische Sicherheitsmaßnahmen

Wir setzen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese umfassen insbesondere:

• Verschlüsselung: SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Passwort-Sicherheit: Passwörter werden gehasht und nicht im Klartext gespeichert
• Zugriffskontrolle: Technische Mandantentrennung auf Datenbankebene (Row Level Security)
• Authentifizierung: Sichere Session-Verwaltung; Kunden-Authentifizierung per Einmal-Code (OTP)
• Monitoring: Überwachung auf Sicherheitsvorfälle über Sentry

Datensicherung und Backups

Wir führen regelmäßige Sicherungen aller Systemdaten durch:

• Automatisierte tägliche Backups über Supabase Point-in-Time Recovery
• Geo-redundante Speicherung in EU-Rechenzentren (Frankfurt)
• Backup-Aufbewahrung für mindestens 30 Tage

Meldung von Sicherheitsvorfällen

Im Falle eines Sicherheitsvorfalls oder einer Datenschutzverletzung erfolgt unverzüglich:

• Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO (innerhalb 72 Stunden)
• Information der betroffenen Nutzer gemäß Art. 34 DSGVO (bei hohem Risiko)
• Dokumentation des Vorfalls und der getroffenen Gegenmaßnahmen

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg
Telefon: 040 / 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de

15. Double-Opt-In für Newsletter

Falls Sie sich für unseren Newsletter anmelden, senden wir Ihnen eine Bestätigungsmail (Double-Opt-In). Erst nach Klick auf den Bestätigungslink erfolgt der Versand von Marketing-E-Mails. Sie können sich jederzeit über den Link in jeder E-Mail abmelden.

Stand: 26.10.2026